Hoy en día, la mayor parte de los trámites con la Administración Pública se realizan de forma telemática. De hecho, España tiene un lugar destacado en cuanto a la digitalización de los servicios públicos, de acuerdo con el último ‘Informe sobre el Estado de la Década Digital 2026’ publicado por la Comisión Europea.
Así pues, disponer de certificados digitales es indispensable, tanto para personas físicas como para personas jurídicas. ¿Pero qué pasa si nos los roban en un ciberataque?
“Cuando una empresa recupera sus sistemas después de un ataque, es fácil pensar que el incidente ha terminado. Pero si alguien ha conseguido una copia válida de un certificado y su clave privada, puede seguir actuando en nombre de la compañía, aunque ya no tenga acceso a ninguno de sus equipos. Ese es un riesgo que también hay que revisar después de una intrusión”, advierte Daniel Rodríguez, director general de Redtrust.
La compañía explica que los certificados digitales permiten acreditar una identidad ante determinados servicios, realizar trámites o firmar documentos electrónicos. De este modo, si un delincuente consigue una copia utilizable junto con su clave privada y el certificado digital sigue siendo válido, puede intentar autenticarse o actuar en nombre de su titular. Y recalca que para hacerlo no necesita conservar el acceso al equipo que sufrió inicialmente el ataque.
Más allá del ‘hackeo’ de los equipos
De este modo, Redtrust reseña que hay una gran diferencia entre localizar el dispositivo atacado y determinar qué identidades digitales han podido quedar expuestas. “Si los certificados estaban repartidos entre empleados, departamentos y dispositivos, reconstruir qué copias existían, quién podía utilizarlas y cuáles requieren revocación puede convertirse en una investigación paralela a la recuperación de los sistemas”, avisa.
Además, hace hincapié en que el desarrollo de los agentes de IA lo complica todo aún más. La empresa de identidad digital especifica que estos sistemas son capaces de ejecutar tareas, acceder a recursos o iniciar procesos de forma autónoma, utilizando credenciales y permisos para operar en los entornos corporativos.
Por tanto, si un atacante se hace con nuestro certificado digital, podría utilizarlo para acceder a información o ejecutar acciones en nombre del agente, incluso después de que la empresa haya recuperado sus sistemas.
Así pues, Redtrust nos recomienda identificar qué agentes están actuando, a qué recursos pueden acceder y cómo retirar estos accesos cuando exista un riesgo de seguridad.
“Hasta ahora hemos pensado la identidad digital sobre todo alrededor de personas y organizaciones, pero empezamos a tener agentes de IA capaces de actuar por su cuenta dentro de una empresa. Si un agente puede acceder a información, iniciar un proceso o realizar una operación, necesitamos saber cuál ha sido, qué tenía permitido hacer y dejar constancia de lo que ha hecho. Dotar a estos agentes de una identidad digital verificable será una parte importante de ese control”, comenta Rodríguez.
¿Qué hacer para evitar riesgos?
En caso de sospechar que nuestros certificados digitales puedan haberse visto comprometidos conviene revocarlos y sustituirlos inmediatamente, con el fin de impedir que los atacantes puedan seguir utilizándolos.
Sin embargo, este proceso en un engorro. Además, puede afectar a operaciones habituales, como la firma de documentos o determinadas gestiones administrativas. Y también nos obligará a revisar qué actividades dependen de ese certificado.
Por eso, para evitar estos inconvenientes, Redtrust aconseja prevenir y propone como alternativa la custodia centralizada de los certificados digitales, impidiendo que las claves privadas circulen o permanezcan instaladas en los equipos de los empleados.
“De este modo, aunque un dispositivo resulte comprometido durante un ciberataque, los atacantes no podrán extraer de él las claves privadas, puesto que se encuentran protegidas en el entorno centralizado”, detalla la compañía.
Además, indica que este tipo de soluciones permiten establecer permisos específicos para cada usuario o agente de IA, controlar qué operaciones pueden realizar y mantener la visibilidad y trazabilidad de su actividad.
Asimismo, si se detecta un acceso anómalo o no autorizado, la empresa puede retirar los permisos correspondientes sin necesidad de revocar el certificado, evitando interrumpir otros procesos empresariales que dependan de él.
